FortiGate設定マニュアル - HA徹底入門
【第5回】HA構成時のファームウェアアップグレード

セキュリティ製品であるFortiGateは、脆弱性への対応や機能改善のため、ファームウェアを定期的にアップグレード（更新）することが求められます。一方で、ファームウェアのアップグレードは機器の再起動を伴うため、通信断が発生するリスクのある作業でもあります。そのため管理者としては「業務への影響をできるだけ抑えたい」「通信を止めずに更新できないのか」と悩むことも少なくありません。
本ブログでは、FortiGateのHA機能を活用し、通信への影響を最小限に抑えながらファームウェアをアップグレードするための手順を解説します。

まずはFortiOSのアップグレードパスを確認する

最新バージョンにアップグレードするには、正しい「アップグレードパス」を踏む必要があります。

メーカーの公式ドキュメントサイトで[FortiGate/FortiOS]を選択してください。

【Fortinet Document Library】

https://docs.fortinet.com/

[Upgrade Path Tool]を選択します。目的のバージョンはツール内で選択できるので、ここでは上段の「Select version」でバージョンを変更する必要はありません。そのまま[Upgrade Path Tool]へと進んでください。

製品、機種、現行OSバージョン、目的のOSバージョンを選択して[OK]すると、アップグレードパスが表示されます。必ず表示された順番に従ってアップグレードしてください。
下記の例では、アップグレードパスは「v7.0.15 > v7.2.10 > v7.4.8 > v7.4.11」となりました。つまり合計3回のアップグレード作業が必要になります。

アップグレードのプロセス

アップグレードモードを「uninterruptible」に設定することで、アップグレードとシステムの切り替えを全て自動で行えます。アップグレードを実行すると、ファームウェアがプライマリからセカンダリへと共有され、セカンダリからアップグレードが開始されます。その後、システムの切り替えやセッションの引き継ぎが行われます。ユーザーが機器を個別に操作したりする必要はありません。
下記の図は、1回のアップグレードで行われるプロセスです。アップグレードが複数回必要な場合は、アップグレードパスに従い、目的のバージョンになるまでアップグレード作業を繰り返してください。

注意点として、アップグレード前に必ず1号機と2号機のオーバーライドの設定を無効にしておいてください。オーバーライドが有効になっていると「プライオリティ」が優先されるため、1号機がアップグレードされて再起動してきたとき、セッションが同期される前にプライマリへ復帰してしまうためです。セッション同期が不十分なまま機器が切り替わると、多くのクライアントの通信が切断されてしまいます。

また、オーバーライド設定を無効にすると、Age（エイジ）のカウンタが優先されます。セカンダリのカウンタがプライマリを上回っていると、意図しない切り替わりが起きてしまうため、オーバーライド設定を変更する前に、予め「現セカンダリ」を再起動し、Ageのカウンタをリセットしておいてください。セカンダリ再起動後は必ず300秒間待ち、次のフェイルオーバーによる切り替えに備えるようにしてください。

アップグレード方法は4種類あります

CLIコマンドでアップグレードモードを変更できます。推奨モードはアップグレードとシステムの切り替えを全て自動で行うデフォルトの「uninterruptible」です。このモードで古いOSバージョンへ自動的にダウングレードすることも可能ですが、その際のセッションの引き継ぎは一切行われません。プライマリとセカンダリは同時に再起動するため、セッションは全て削除されます。

ユーザーの不安に答える

アップグレードに必要な動作は全て自動的に行われます。アップグレード中にユーザーが介入することはありません。ただし、通信の維持は「最大限の努力」です。通信断は「原則起きるもの」という前提でアップグレードしてください。リスクを把握した上で、業務に影響のない深夜または早朝にアップグレード作業を行うことをお奨めします。

著者

浦 弘平

ネットワークセキュリティ事業本部 カスタマーサポート部

誰もが知っているようで意外と知らない。今さら人に聞けない。
そんなかゆいところに手が届く情報や現場で役立つ豆知識を紹介していきます。